Спасибо за ответы.
to Lev: Если сделать одну группу "Только просмотр", то получается все пользователи будут видеть всё, даже то, чего раньше не видели. Это же не правильно. А если делать для каждой группы пользователей группу-дублера "Только просмотр" и потом перекреплять пользователей на эти группы, то какая-то муторная работа получится
. Даже если job'ом это делать. Подозреваю, что есть более легкий и красивый способ.
to Alexius: не нашел таблицу AccessRightList, может она как-то по-другому называется?